php2shell指cve-2026-109618与cve-2026-109619两个高危远程代码执行漏洞：前者源于oom处理缺陷导致释放后使用，后者因全局状态残留引发释放后使用和类型混淆，均存在于php核心，影响所有php web应用，官方已发布8.5.12等修复版本。

PHP2Shell 指的是以下两个 CVE 漏洞：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• CVE-2026-109618：与内存耗尽（OOM）处理缺陷相关，属于上传进度反序列化引发的释放后使用（UAF）漏洞，可导致未经身份验证的远程代码执行。
• CVE-2026-109619：与全局状态残留相关，因请求间 PHP 工作进程未正确重置某些全局指针，造成释放后使用（UAF）和类型混淆，同样支持预认证远程代码执行。

这两个漏洞均存在于 PHP 核心（php-src），影响所有基于 PHP 的 Web 应用，包括 WordPress、Laravel、Drupal 等，不依赖具体框架或业务逻辑。官方已发布修复版本：PHP 8.5.12、8.4.27、8.3.36、8.2.35。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！